分析

AnthropicがFlashProveを公開、回答がコミット済みのモデルから来たことを証明するオープンソースの研究用プロトタイプ、貪欲デコード・1,024トークン・オープンなモデルという制限つき

Anthropicが、回答がコミット済みのモデルから来たかを確かめる研究用プロトタイプFlashProveを公開。貪欲デコード、1,024トークン、オープンなモデルに限る。

執筆： Audryk · 2026年11月4日

• 新しいAI技術
• #Anthropic
• #FlashProve
• #証明可能な推論
• #ゼロ知識証明
• #オープンソース
• #AIの安全性

2026年11月2日、AnthropicのFrontier Red Teamは、FlashProveに関する記事とオープンソースのコードを公開した。FlashProveは「証明可能な推論」の研究用プロトタイプで、回答が代役のモデルではなく、コミット済み（committed）のモデルから来たことを暗号で確かめる。研究であり、製品ではない。情報源は自動要約でしか読んでおらず、何も実行していない。法律上・セキュリティ上の助言ではない。

要点

• 何か：Anthropicによると、zkSNARKに基づくプロトタイプで、重みにアクセスせずに、回答がコミット済みのモデルから来たことを確かめられる。コードはApache 2.0で、重みは含まれない。
• 現状：リポジトリは非メンテナンスと表示されている。TechCrunchは展開の予定はないと伝える。
• 制限：貪欲デコード、1,024トークン、オープンなモデル（Llama 4 Maverick、Claudeではない）、そしてvLLMサービスのGPU時間の約70〜95倍。
• 未確定：フィンガープリントが商用モデルの公称の同一性とどう結びつくか、そして採用。

Anthropicは何を公開したのか

Anthropicの記事とリポジトリ（anthropics/FlashProve、v0.16.0）には、コード、Leanによる証明、ドキュメントが含まれる。TechCrunchによると、Anthropicはこの記事を中間的な進捗報告と位置づけている。Anthropicは、ロードマップの目標だった証明可能な推論のプロトタイプは別のプロジェクトで達成したと述べ、そのプロジェクトは「inference verification」に改称された。FlashProveは、信頼できるハードウェアを使わない純粋に暗号的な道だという（The DecoderとCellCog経由）。Anthropicはさらに、ClaudeがzkSNARKの作業を改善しプロトコル仕様を書いたこと、Leanは人が監査できる保証を記述するために使うことを述べている。

3段階のしくみ

AnthropicとGitHubによると：

1. コミットメント：提供者は、重みの組を明かさずに固定する短いフィンガープリントを公開する。
2. 証明：リクエストごとに、提供者のGPUが、コミット済みのモデルがこのプロンプトに対してこれらの出力トークンを生成することを証明する。
3. 検証：誰でも、重みなしで通常のCPU上で証明を確かめられる。

H100 GPU 1基で、情報源は、証明生成が毎秒約110トークン、1,024トークンあたりの証明が約19MB、24スレッドのCPUでの検証が約17秒と伝える。証明側には専用の80GBのH100と約330GBのRAMが必要だ（GitHub）。

出典：Anthropic、GitHub。

証明が示すこと、示さないこと

CellCogは、別のモデルを提供する事業者はコミット済みモデルについて有効な証明を作れないと伝える。GitHubによると、この健全性はLeanで証明されており、誤りの確率には上限があるが、ゼロではない。テストされたモデルはMetaのLlama 4 Maverickで、第三者による4ビット変換版を使った。FlashProveが証明するのはオープンなモデルであり、Claudeではない。

証明が示すのは、フィンガープリントとの整合性だ。読んだページでは、AnthropicもGitHubも、フィンガープリントが商用モデルの公的な同一性とどう結びつくかを詳しく述べていない。GitHubは、コミットメントの識別子は検証者が信頼する側から来る必要があり、サーバーから来てはならないと付け加える。

Anthropicは、規制当局が提供者に承認済みのモデルだけを使わせているかを確かめる用途を挙げる。TechCrunchは、研究所が安価なモデルに密かに差し替えることを防ぐ用途を加える。

明示された制限

• 貪欲デコードのみ：チャットボットに典型的なランダムなサンプリングは対象外（Anthropic、The Decoder）。
• 整数演算の重み：テストでは浮動小数点の推論に近いとされるが、攻撃用プロンプトは対象外（Anthropic）。
• 1,024トークン：現在のコンテキストの長さをはるかに下回る。拡張は今後の課題（Anthropic）。
• 完全には隠されない：アーキテクチャは見える状態で、重みの一部の値は宣言された一覧を除いて伏せられる（GitHub）。
• 対象外：処理時間の計測などのサイドチャネルと、同じハードウェア上での並行する学習（Anthropic）。
• 検証：高速なC++/GPUのコードは形式検証されておらず、Leanの記述は手作業で監査する必要がある（Anthropic）。

出典：Anthropic、GitHub、The Decoder。

何が確定していないのか

フィンガープリントがサービスの公称モデルとどう結びつくか。サンプリングによるデコードと長いコンテキスト。Claudeのようなクローズドなモデル。性能の独立した検証。提供者や規制当局による採用。コードが記載どおりに動くかどうか。

比較表

よくある質問

FlashProveはClaudeが本当にClaudeだと証明するのか

いいえ。テストされたのはオープンなモデルだ。Claudeのようなクローズドなモデルでの利用は確定していない。

今日使えるのか

コードはオープンソースだが、メンテナンスはされておらず、証明側には80GBのH100が必要で、展開の予定もない。私たちは実行していない。

なぜ1,024トークンと貪欲デコードなのか

Anthropicはどちらも制限として挙げており、より長いコンテキストは今後の課題だ。読んだページに、ほかの理由は書かれていない。

方法と限界

2026年11月4日に、Anthropicの記事とGitHubのリポジトリを自動要約で読み、TechCrunch、The Decoder、CellCog（二次情報）も読んだ。Anthropicの技術報告書は読んでおらず、MarkTechPostとRuntimeWireは使っていない。暗号の妥当性については判断しない。

出典

• Anthropic、Progress on provable inference for large language models、自動要約で読んだ
• GitHub、anthropics/FlashProve、自動要約で読んだ
• TechCrunch、Russell Brandom、自動要約で読んだ
• The Decoder、自動要約で読んだ
• CellCog、二次情報、自動要約で読んだ

この記事の誤りに気づかれましたか？ 報告する · 訂正ポリシー